Escape et balises Html

Bonjour, j'ai vu dans la doc de Zend qu'il fallait toujours échapper ses sorties dans les vues. Hors il s'avère que j'ai un système d'ajout de contenu qui utilise Ckeditor. Le contenu envoyé dans la base contient donc des balises HTML. Si je fais ceci dans ma vue :

Code:

---

<?php echo $article[intro]; ?>

---

J'ai bien mes balises <b>, <p>...etc interprétées.

Par contre si je fais

Code:

---

1 2	echo $this->escape($article['intro']);

---

J'ai les balises qui s'affichent carrément sur ma page. Quelqu'un saurait-il à quoi c'est du ? J'ai été tenté de virer mes espace mais d'un côté j'ai lu sur la doc de Zend qu'il fallait les garder pour éviter les attaques. La question que je me pose alors c'est de savoir comment on rend un contenu qui contient des balises HTML ?

Merci

Avant l'enregistrement en base, tu dois vérifier que la chaîne ne contient que des tags html autorisés (utilise les filters et les validators). Ton contenu étant sûr, tu peux donc l'afficher ensuite sans utiliser escape(). Cela doit rester une exception car le nettoyage de la chaîne peut être assez coûteux (expression régulières...) pour obtenir une sécurité suffisante pour ne pas utiliser escape().

Effectivement si tu n'escape pas tu risque d'avoir des failles xss.
Les filters et les validators Zend ne sont pas forcément pratique si tu veux permettre l'utilisation de ckeditor.
C'est à dire autorisé certains balises (boutons de ckeditor) et ne pas autorisé des balises que l'utilisateur va rajouter manuellement.
Tu peux utiliser Htmlpurifier pour créer des filtres plus intelligents que les filters de zend.
Pour ce faire, tu crée une classe qui utilise htmlpurifier pour filtrer les tags non désiré.